Legacy-Software: Wenn veraltete Software bleiben muss – Risiken erkennen und Systeme absichern
Was ist Legacy-Software und warum wird sie zum Problem?
Legacy-Software bezeichnet Anwendungen, die technisch veraltet sind, nicht mehr aktiv weiterentwickelt werden oder deren Herstellersupport bereits eingestellt wurde. Häufig handelt es sich um Programme, die über viele Jahre hinweg zuverlässig im Unternehmen eingesetzt wurden und wichtige Geschäftsprozesse unterstützen.
Das Problem: Nur weil eine Software schon lange funktioniert, bedeutet das nicht, dass sie auch langfristig sicher und kompatibel bleibt.
Hersteller stellen irgendwann die Weiterentwicklung und den Support älterer Softwareversionen ein. Sicherheitslücken werden dann unter Umständen nicht mehr geschlossen, Fehler nicht mehr behoben und neue Betriebssysteme nicht mehr unterstützt.
Aus IT-Sicherheitssicht sollte Legacy-Software deshalb grundsätzlich vermieden und nach Möglichkeit durch aktuelle, unterstützte Lösungen ersetzt werden.
In der Unternehmenspraxis ist das allerdings nicht immer so einfach.
Warum wird veraltete Software trotzdem weiter genutzt?
Es gibt durchaus Situationen, in denen ein Austausch wirtschaftlich oder organisatorisch wenig sinnvoll erscheint.
Ein typisches Beispiel sind branchenspezifische Anwendungen, die seit vielen Jahren im Einsatz sind. Sie erfüllen ihren Zweck, die Mitarbeiter sind mit der Bedienung vertraut und die Software bildet individuelle Arbeitsabläufe ab.
Ein Wechsel kann mit erheblichen Kosten verbunden sein:
- Hohe Anschaffungskosten: Eine neue Softwarelösung kann mehrere Tausend Euro kosten.
- Laufende Kosten: Häufig kommen monatliche oder jährliche Wartungs- und Lizenzgebühren hinzu.
- Migrationsaufwand: Bestehende Daten müssen übernommen und Prozesse gegebenenfalls angepasst werden.
- Schulungsbedarf: Mitarbeiter müssen sich mit einer neuen Anwendung vertraut machen.
- Ungewisser Mehrwert: Wenn die bestehende Software alle benötigten Funktionen zuverlässig erfüllt, ist der tatsächliche Nutzen einer Neuanschaffung möglicherweise gering.
Gerade für kleine und mittelständische Unternehmen kann es daher wirtschaftlich sinnvoll erscheinen, eine ältere Anwendung weiterzubetreiben.
Wichtig ist allerdings die Unterscheidung: Eine wirtschaftlich nachvollziehbare Entscheidung ist nicht automatisch eine sichere Entscheidung. Wer Legacy-Software weiter nutzt, muss sich bewusst mit den damit verbundenen Risiken auseinandersetzen und geeignete Schutzmaßnahmen umsetzen.
Welche Risiken birgt Legacy-Software?
Die Risiken beschränken sich nicht nur auf mögliche Sicherheitslücken. Auch die technische Weiterentwicklung der übrigen IT-Infrastruktur kann ältere Anwendungen zunehmend zum Problem machen.
1. Sicherheitslücken und fehlende Updates
Das größte Risiko entsteht häufig durch fehlende Sicherheitsupdates.
Wird eine Software nicht mehr vom Hersteller unterstützt, werden neu entdeckte Schwachstellen möglicherweise nicht mehr behoben. Angreifer können bekannte Sicherheitslücken gezielt ausnutzen, um sich Zugriff auf Systeme und Unternehmensdaten zu verschaffen.
Besonders kritisch ist es, wenn die betroffene Software mit dem Internet verbunden ist oder Zugriff auf gemeinsam genutzte Netzlaufwerke und andere Unternehmenssysteme besitzt.
Ein einzelnes veraltetes Programm kann so zum Einfallstor für Angriffe auf die gesamte IT-Infrastruktur werden.
2. Fehlende Funktionen und technische Weiterentwicklung
Mit der Zeit verändern sich die Anforderungen an Software. Neue Sicherheitsstandards, Authentifizierungsverfahren und Schnittstellen werden eingeführt.
Legacy-Anwendungen können diese Entwicklungen häufig nicht mehr vollständig unterstützen.
Beispielsweise fehlen moderne Verschlüsselungsverfahren, Mehr-Faktor-Authentifizierung oder die Möglichkeit, aktuelle Schnittstellen zu nutzen.
Das kann nicht nur die Sicherheit beeinträchtigen, sondern auch die Integration in andere Unternehmensanwendungen erschweren.
3. Probleme mit Betriebssystem-Updates
Ein besonders häufiges Problem entsteht bei der Aktualisierung des Betriebssystems.
Während aktuelle Anwendungen für neue Windows-Versionen optimiert werden, kann es bei älteren Programmen zu Kompatibilitätsproblemen kommen.
Ein neues Betriebssystem kann beispielsweise:
- benötigte Systembibliotheken nicht mehr unterstützen,
- ältere Treiber blockieren,
- bestimmte Berechtigungen anders handhaben,
- veraltete Schnittstellen nicht mehr bereitstellen.
Die Folge: Eine Anwendung, die jahrelang problemlos funktioniert hat, startet nach einem Betriebssystemwechsel plötzlich nicht mehr oder arbeitet nur noch eingeschränkt.
4. Inkompatibilitäten und Abhängigkeiten
Legacy-Software ist häufig von weiteren veralteten Komponenten abhängig. Dazu gehören beispielsweise Datenbanken, Laufzeitumgebungen, Treiber oder spezielle Hardware.
Wird eine dieser Komponenten aktualisiert oder ausgetauscht, kann das Auswirkungen auf die gesamte Anwendung haben.
Besonders problematisch ist, wenn ursprüngliche Entwickler oder Hersteller nicht mehr erreichbar sind und keine Dokumentation zu den technischen Abhängigkeiten existiert.
Damit steigt der Aufwand für Wartung, Fehlerbehebung und zukünftige Migrationen.
Wie lässt sich Legacy-Software absichern?
Wenn ein Austausch nicht möglich oder wirtschaftlich nicht sinnvoll ist, bedeutet das nicht zwangsläufig, dass die Software ungeschützt betrieben werden muss.
Entscheidend ist ein Sicherheitskonzept, das die besonderen Risiken der jeweiligen Anwendung berücksichtigt.
Folgende Maßnahmen können helfen:
1. Netzwerkzugriffe einschränken
Eine der wichtigsten Maßnahmen ist die Begrenzung der Netzwerkverbindungen.
Legacy-Software sollte nur auf die Systeme und Dienste zugreifen können, die sie tatsächlich benötigt. Nicht erforderliche Internetverbindungen und Netzwerkzugriffe sollten unterbunden werden.
Eine Netzwerksegmentierung kann zusätzlich dafür sorgen, dass ein kompromittiertes System nicht ohne Weiteres auf andere Unternehmensbereiche zugreifen kann.
2. Dedizierte Systeme und virtuelle Umgebungen nutzen
Wenn möglich, sollte ältere Software auf einem separaten System betrieben werden.
Eine virtuelle Maschine kann dabei helfen, die Anwendung von anderen Systemen zu isolieren und eine definierte technische Umgebung bereitzustellen.
Allerdings gilt: Auch ein virtuelles System benötigt Sicherheitsmaßnahmen. Eine veraltete Anwendung wird nicht automatisch sicher, nur weil sie virtualisiert betrieben wird.
3. Benutzerrechte beschränken
Nicht jeder Mitarbeiter benötigt uneingeschränkte Zugriffsrechte.
Die Anwendung sollte ausschließlich mit den Berechtigungen betrieben werden, die für ihre Funktion erforderlich sind. Administrative Rechte sollten nur dort vergeben werden, wo sie tatsächlich benötigt werden.
Auch gemeinsam genutzte Konten und alte Wartungszugänge sollten überprüft werden.
4. Backups und Wiederherstellung sicherstellen
Ein aktuelles Backup ist besonders wichtig, wenn eine ältere Anwendung nicht ohne Weiteres neu installiert werden kann.
Neben den eigentlichen Daten sollten – soweit technisch und lizenzrechtlich möglich – auch die Konfiguration und die für den Betrieb benötigten Installationsdateien gesichert werden.
Wichtig ist außerdem, die Wiederherstellung regelmäßig zu testen. Ein Backup, das sich im Ernstfall nicht zurückspielen lässt, bietet keinen ausreichenden Schutz.
Idealerweise werden Sicherungen zusätzlich getrennt vom regulären Netzwerk aufbewahrt, damit sie bei einem Cyberangriff nicht ebenfalls betroffen sind.
5. Sicherheitsstatus regelmäßig überprüfen
Auch wenn der Hersteller keine Updates mehr bereitstellt, sollte die Anwendung nicht einfach unbeachtet weiterlaufen.
Regelmäßige Überprüfungen helfen dabei, Risiken frühzeitig zu erkennen:
- Welche Softwareversion wird eingesetzt?
- Ist die Anwendung mit dem Internet verbunden?
- Welche bekannten Sicherheitslücken bestehen?
- Welche Benutzer und Systeme haben Zugriff?
- Gibt es noch einen Ansprechpartner beim Hersteller?
- Welche Alternativen stehen langfristig zur Verfügung?
Auf dieser Grundlage lässt sich entscheiden, ob die bisherigen Schutzmaßnahmen ausreichen oder ob ein Austausch doch notwendig wird.
6. Austausch langfristig planen
Eine abgesicherte Weiternutzung sollte nicht automatisch zu einer dauerhaften Lösung werden.
Unternehmen sollten dokumentieren, warum eine Anwendung weiterhin eingesetzt wird, welche Risiken bestehen und welche Maßnahmen diese Risiken reduzieren.
Gleichzeitig empfiehlt sich eine langfristige Planung für den Fall, dass die Anwendung irgendwann nicht mehr funktioniert oder die Sicherheitsrisiken nicht mehr vertretbar sind.
Welche rechtlichen Aspekte sind zu beachten?
Die Nutzung veralteter Software ist in Deutschland nicht grundsätzlich verboten. Es gibt keine allgemeine gesetzliche Regelung, nach der jede Software unmittelbar nach dem Ende des Herstellersupports ersetzt werden muss.
Das bedeutet jedoch nicht, dass der Einsatz ohne rechtliche Risiken möglich ist.
Datenschutz-Grundverordnung (DSGVO)
Sobald mit der Software personenbezogene Daten verarbeitet werden, ist insbesondere Artikel 32 DSGVO relevant.
Dieser verpflichtet Unternehmen und gegebenenfalls ihre Auftragsverarbeiter dazu, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem jeweiligen Risiko angemessenes Schutzniveau sicherzustellen.
Dabei werden ausdrücklich auch der Stand der Technik und die Implementierungskosten berücksichtigt.
Ein wirtschaftlicher Grund kann bei der Wahl der Schutzmaßnahmen also eine Rolle spielen. Er ist allerdings kein Freibrief, bekannte und nicht ausreichend beherrschte Sicherheitsrisiken zu ignorieren.
Unternehmen müssen regelmäßig überprüfen, ob ihre Sicherheitsmaßnahmen noch wirksam sind.
IT-Sicherheitsanforderungen und NIS-2
Für Unternehmen, die unter die NIS-2-Regelungen beziehungsweise das deutsche Umsetzungsgesetz fallen, gelten zusätzliche Anforderungen an das Risikomanagement und die Informationssicherheit.
Dazu gehören unter anderem Maßnahmen zum Umgang mit Sicherheitsvorfällen, zur Aufrechterhaltung des Betriebs und zum Schwachstellenmanagement.
Ob ein Unternehmen betroffen ist, hängt unter anderem von Branche, Größe und Tätigkeit ab. Die Anforderungen gelten nicht pauschal für jedes Unternehmen.
Lizenz- und Vertragsbedingungen
Auch die Lizenzbedingungen der eingesetzten Software sollten überprüft werden.
Zu klären ist beispielsweise, ob die Software auf neuer Hardware oder in einer virtuellen Umgebung weiterbetrieben werden darf und welche Einschränkungen hinsichtlich der Nutzung bestehen.
Darüber hinaus können Wartungs-, Support- oder Serviceverträge Anforderungen an die eingesetzte Softwareumgebung enthalten.
Dokumentations- und Nachweispflichten
Unternehmen sollten nachvollziehbar dokumentieren, weshalb eine ältere Anwendung weiterhin eingesetzt wird, welche Risiken identifiziert wurden und welche Sicherheitsmaßnahmen umgesetzt sind.
Das schafft Transparenz und erleichtert es, bei späteren Prüfungen oder Sicherheitsvorfällen die getroffenen Entscheidungen nachzuvollziehen.
Praxisbeispiel: Alte Software erfolgreich auf neue Computersysteme migrieren
Dass die Weiternutzung von Legacy-Software trotz moderner IT-Infrastruktur funktionieren kann, zeigt ein Projekt von NODEWORK bei einem Steinmetzbetrieb in der Nähe von Oldenburg.
Im Rahmen einer Modernisierung mussten die vorhandenen Computersysteme erneuert werden. Hintergrund war eine andere betriebliche Anwendung, deren Anforderungen den Umstieg auf Windows 11 erforderlich machten.
Neben den eigentlichen Arbeitsplätzen sollte auch eine ältere Software weiterhin genutzt werden. Diese befand sich bereits am Ende ihres Lebenszyklus (End of Life, EOL) und wurde vom Hersteller nicht mehr regulär unterstützt.
Ein Ersatz der Anwendung wäre grundsätzlich möglich gewesen. Allerdings hätte eine neue Softwarelösung mehr als 5.000 Euro gekostet. Hinzugekommen wäre ein laufender Wartungsvertrag.
Da die bestehende Anwendung ihre Aufgaben weiterhin zuverlässig erfüllte, stand ein solcher Austausch wirtschaftlich nicht im Verhältnis zum tatsächlichen Nutzen.
Die Entscheidung fiel deshalb darauf, die bestehende Software im Zuge der Systemerneuerung auf die neue IT-Umgebung zu migrieren.
Das war mit etwas mehr Aufwand verbunden als eine gewöhnliche Systemmigration. Insbesondere die Kompatibilität mit Windows 11 musste berücksichtigt und an einigen Stellen nachgearbeitet werden.
Im laufenden Prozess traten tatsächlich einige Probleme auf. Diese konnten jedoch durch NODEWORK behoben werden, sodass die ältere Anwendung auch auf den neuen Computersystemen weiterhin genutzt werden konnte.
Das Ergebnis: Der Betrieb konnte seine Computersysteme modernisieren, die Anforderungen der anderen Anwendung erfüllen und gleichzeitig auf einen kostenintensiven Austausch der weiterhin benötigten Legacy-Software verzichten.
Das Beispiel zeigt, dass es nicht immer notwendig ist, funktionierende Anwendungen allein aufgrund ihres Alters zu ersetzen. Entscheidend ist vielmehr, die technische Situation individuell zu bewerten und eine passende Lösung zu finden.
Fazit: Legacy-Software bewusst nutzen statt einfach weiterlaufen lassen
Veraltete Software sollte grundsätzlich vermieden werden. Fehlende Sicherheitsupdates, zunehmende Kompatibilitätsprobleme und technische Abhängigkeiten können langfristig erhebliche Risiken verursachen.
Trotzdem ist ein sofortiger Austausch nicht in jedem Fall die beste wirtschaftliche Entscheidung.
Wenn eine Anwendung weiterhin benötigt wird und ein Ersatz unverhältnismäßig hohe Kosten verursachen würde, kann eine abgesicherte Weiternutzung eine sinnvolle Übergangslösung sein.
Voraussetzung dafür ist, dass die Risiken bekannt sind, geeignete Schutzmaßnahmen umgesetzt werden und die eingesetzte Lösung regelmäßig überprüft wird.
NODEWORK unterstützt Unternehmen dabei, auch gewachsene IT-Strukturen zukunftsfähig zu gestalten. Ob Migration bestehender Anwendungen, Modernisierung von Computersystemen oder Absicherung älterer Software: Gemeinsam finden wir eine Lösung, die sowohl technisch als auch wirtschaftlich sinnvoll ist.
Sie setzen selbst noch ältere Software ein und fragen sich, ob diese auch in einer modernen IT-Umgebung weiterbetrieben werden kann? Sprechen Sie uns an. Wir unterstützen Sie bei der Bewertung Ihrer Situation und der Entwicklung einer passenden Lösung.